Уязвимость CVE-2026-1357 с оценкой CVSS 9.8 из 10 затрагивает плагин WPvivid Backup & Migration, установленный более чем на 900 000 сайтов. Проблема позволяла захватить сайт полностью — без входа в учётную запись.
Ошибка крылась в механизме приёма резервных копий по временному ключу: злоумышленник мог обойти проверку и загрузить на сервер файл с произвольным содержимым. Отсутствие проверки имени и расширения файла открывало путь к размещению вредоносных сценариев в доступных каталогах сайта.🛠 Исследователь NiRoX сообщил об ошибке через программу вознаграждений Wordfence 22 января, и уже 28 января вышла исправленная версия 0.9.124 с жёсткой фильтрацией загружаемых файлов. Владельцам сайтов рекомендуют обновиться немедленно — особенно тем, кто использовал функцию приёма бэкапов с других сайтов.